Risk yönetimi, çalışan korumasından tüketici güvenliğine kadar kurumsal yönetimin günlük merkezi bir görevidir ve şirket yönetim kurullarının gözetim gündeminin en önemli maddesi haline gelmiştir. Yöneticiler günlük risk yönetiminden sorumlu olmaya devam ederken, yönetim kurulunun gözetim rolü o kadar genişledi ki, yöneticiler nasıl değer katabilecekleri konusunda geniş ve derin düşünmekten fayda sağlamaktadırlar.
Başlangıçta, risk yönetiminin önceliklendirilmesi, risklerin hızlanması ve çoğalmasından kaynaklanmakta; bu da, şirketlerin öngördüğü ve hafiflettiği yaygın taleplerle desteklenmekte ve iyi geliştirilmiş kurumsal risk yönetimi kılavuzları ile etkinleştirilmektedir.
Risklerdeki çoğalmanın çağdaş hızlandırıcıları; yapay zekâ, siber ve korsan yazılım saldırıları, veri ihlalleri, jeopolitik karışıklık, küresel salgınlar ve doğal afetler, ciddi tedarik zinciri kesintileri, ESG’nin (environmental, social, and governance; çevresel, sosyal ve kurumsal yönetişim) ortaya çıkışı ve buna karşı tepkiler, paydaş aktivizminin yükselişi, ekonomik belirsizlik ve işçi huzursuzluğu, yanlış bilgilendirmenin yayılması ve sürekliliği ile çeşitli sosyal medya platformlarının katılımıdır.
Şirketleri bu tür risklerle mücadele etmek için sorumluluk almaya teşvik eden bileşenler ise; aktivist kuruluşlar, varlık yöneticileri, iş ortakları, müşteriler, çalışanlar, federal yasa yapıcılar, sigortacılar, yatırımcılar, medya, davacı avukatları, vekâlet danışmanları, menkul kıymetler düzenleme otoriteleri, standart belirleyiciler, eyalet mahkemeleri, hisse senedi değişim ve üniversite profesörleridir.
Kurumsal risk yönetimine ilişkin hızla gelişen kılavuzlar arasında da Geçit Komisyonu Sponsor Kuruluşlar Komitesi (Committee of Sponsoring Organizations of the Treadway Commission-COSO); Konferans Kurulu (Conference Board); İç Denetçiler Enstitüsü [Üç Hatlı Model (Institute of Internal Auditors; Three Lines Model)]; Uluslararası Standardizasyon Örgütü (International Organization for Standardization; ISO 31000); ve Ulusal Kurumsal Yöneticiler Birliği (National Association of Corporate Directors-NACD), sayılabilir.
Sonuç, kurucuların riskler gerçekleştiğinde yalnızca yetenekli kriz müdahaleleri değil, aynı zamanda öngörücü, önleyici ve proaktif kurumsal liderler aradığı ‘yeni bir normal’dir (a new normal). Risk yönetimi gözeticileri olarak yöneticilerin sorunu, bir şirketin markasını, kültürünü, finansal durumunu, iyi niyetini, operasyonlarını, rasyonel risk almasını ve itibarını korurken dinamik zorluklar ve tehditlerle yeni normale uyum sağlamasına ve gelişmesine nasıl yardımcı olunacağıdır.
Bir geri adım atarak, tüm şirketlerin birden çok cephede ve genellikle aynı anda birdenbire, uyarı vererek veya vermeden ortaya çıkabilen kriz seviyesindeki olaylara karşı savunmasız olduğunu düşünelim. Temel gerçekler belirsiz, bilinmeyen ve hızla gelişen tarzda olabilir. Baskı genellikle potansiyel kontrol kaybı ile finansal, operasyonel ve itibara zarar verme riski ile birleşir.
Hadisenin/olayların kendisinin sonuçlarının yanı sıra -hadise/olay öncesinde, sırasında ve sonrasında-, ilgili tüm yönetim kurulu ve yönetim kararları, çalışanlardan hissedarlara, müşterilere ve rakiplere, gazetecilere ve düzenleyicilere kadar şirket içindeki ve dışındaki kişiler tarafından incelenecektir.
Bu tür olayların olasılığını ve meydana gelmeleri durumunda büyüklüğünü azaltmak için, yeni normal, riskten kaçınma ve kurumsal dayanıklılık kültürü oluşturma konusunda yöneticiler ile üst düzey yöneticilerin bir ‘bütün şirket’ (whole company) tepkisi vermesini gerektirir. Genel kurumsal tehdit yönetiminin geniş bir çerçevesi, bir şirketin kültürü, organizasyon yapısı, öncelikleri, kaynakları ve risk alma iştahı ile tutarlı olarak, krize hazırlıklı olma ve hafifletmeyi optimize etmeyi gerektirir.
Yöneticiler, etkili risk yönetiminin gelişmiş, bütüncül, yenilikçi, stratejik ve düşünceli bir hazırlık gerektirdiğini takdir etmelidir. Yönetim kurullarının toplu olarak demografi, ekonomi, coğrafya, tarih, politika, psikoloji, düzenleme ve teknolojiyi kapsayan geniş bir bilgi yelpazesine sahip olduğu çok disiplinli bir yaklaşım gerektirir ki; bunların hepsi, doğası gereği bilinmeyenlere ve hızla ortaya çıkan veya tırmanan olaylara ve kaçınılmaz ikinci tahminlere karşı kuruludur.
Her ne kadar ürkütücü görünse de, kriz düzeyindeki olayların yol açtığı riskleri azaltmak, diğerlerinin karşı karşıya kaldığı daha önceki birçok kurumsal krizin birikimli derslerini öğrenmekten fayda sağlar. Yöneticiler, potansiyel tehditlerin olasılığını ve kapsamını bağlamsallaştırmaya ve görselleştirmeye yardımcı olan hadise/olay öğrenme geçmişlerinden yararlanır. Bunu yapmak, herhangi bir tehdit senaryosunu atlatmanın anahtarı olan kanıta dayalı karar verme için seçenekler oluşturmaya da yardımcı olur.
Temel dersler, potansiyel tehditleri tahmin etme ve gerektiğinde zamanında düzeltici önlem alma gibi birden çok sektördeki deneyimlerden en iyi şekilde öğrenilir. Misyon, karar vericiler için eyleme geçirilebilir bilgiler üretmek ve potansiyel tehditlerin ekonomik, verimli ve hızlı bir şekilde tespit edilebilmesi, değerlendirilebilmesi ve hafifletilebilmesi için kurumsal bir “erken uyarı sistemi” oluşturulmasına yardımcı olmaktır.
İlki, deneyim, risk yönetiminin, samimi iletişimi ve şeffaflığı teşvik eden teşvikler yaratarak ‘bilgi depolarını’ (information silos) yıkmayı gerektirdiğini göstermiştir. Özerkliğe değer verilen yüksek düzeyde merkezi olmayan kuruluşlarda, bölüm yöneticileri, liderliğin birlikte kabul edilemez riskler yaratabilecek sorunların her türlü yoğunluğunun farkına varabilmesi için güvenlik açıklarını genel merkezle paylaşmaya teşvik edilmelidir.
Bilgi, gerekli önlemlerin alınabilmesi için karar vericilere zamanında ulaşmalıdır. Bu, iletilmesi gereken bilgi türünü ve kime ve nasıl iletileceğini ve işleneceğini -mahkemelerdeki çapraz sorgulamanın titizliğine ve incelemesine, hissedar incelemesine ve düzenleyici veya yasama organlarının ikinci tahminine dayanması gerekebilecek bir çaba- açıklayan özelleştirilmiş şablonlar geliştirmek anlamına gelir.
Belirli iş birimlerinden uzmanlarla istişare etmek ve gerektiğinde dışarıdan uzmanların desteğini almak, şirket için uygulanabilir stratejik seçeneklerin formüle edilmesinde paha biçilmez olabilir. Trend analizi, senaryo planlama ve stres testi yoluyla yakın, orta ve uzun vadeli riskleri görselleştirmek ve şirketin bunlara karşı direncini artırmak için bu uzmanlarla işbirliği yapılmalıdır.
Önceki örneklerden bu tür dersler çıkarılmasına rağmen, her krizin benzersiz ve muhtemelen karmaşık olduğunu aynı anda takdir etmek de önemlidir. Günümüzün kurumsal krizleri sıklıkla tüketicinin korunması, kurumsal yönetişim, kurumsal yeniden yapılanma, çalışan ilişkileri, devlet soruşturmaları, menkul kıymet düzenlemeleri ve beyaz yakalı suçlar gibi geleneksel olarak farklı alanları kapsayan yasal konuları içerir. Tamamen entegre, çok disiplinli ve iyi hazırlanmış bir yaklaşım çok önemlidir. Hiçbir kriz aynı zorlukları arz etmez ve bu tür olayları yönetmek için önceden özelleştirilmiş, kapsamlı bir stratejiye sahip olmak, bir şirketin fırtınayı atlatma olasılığını artıracaktır.
Ayrıca, kurumsal risk ‘herkese uyan tek’ bir önerme (a one-size-fits-all proposition) değildir. Her şirket, risk yönetimi programını kendi özel ihtiyaçlarına göre uyarlamalıdır. Her şirketin özel tehdit profili ve ilgili uyumluluk koşulları, kurum kültürü, endüstri standartları ve ayrıca mevcut personel, eğitim ve diğer kaynaklar için özelleştirilmiş bir risk yönetimi programı oluşturmak ve uygulamak için dâhili soruşturma yürütme, şirket liderlerine danışmanlık yapma ve kamu politikasını şekillendirme deneyiminden yararlanılmalıdır. Böyle bir yaklaşımın net etkisi, geçici, bölümlere ayrılmış çabaları azaltmak ve varsayılan olarak değil, tasarım gereği tutarlı, bütünsel ve birleşik bir plan geliştirmektir.
Farklı bir ifadeyle, her şirket, Geçit Komisyonu Sponsor Kuruluşlar Komitesi tarafından yayınlananlar gibi genel çerçevelerin bir kombinasyonundan ve şirketin benzersiz koşullarına ve ihtiyaçlarına uyacak şekilde uyarlanabilecek deneyimlerden elde edilen özel derslerden yararlanacaktır.
Genel Geçit Komisyonu Sponsor Kuruluşlar Komitesi Çerçevesi
- Yönetişim ve Kültür (governance & culture): yönetim kurulu gözetimi ve tepedeki üslup;
- Strateji ve Hedefler (strategy & objectives): risk yönetiminin strateji ve iş hedeflerine entegre edilmesi;
- Performans (performance): stratejiyi ve iş hedeflerini etkileyen risklerin belirlenmesi ve izlenmesi;
- Gözden Geçirme ve Düzeltme (review & revise): olayların düzenli olarak değerlendirilmesi ve gerektiğinde güncellenmesi,
- Bilgi, İletişim ve Raporlama (information, communication & reporting): şirket çapında bilgi toplama ve paylaşmanın sürekli, yinelemeli süreci.
Deneyimden Alınan Özel Dersler
- Yönetim kurulundan başlayarak ve üst düzey yönetim de dâhil olmak üzere ilgili paydaşları eğitmek ve harekete geçirmek;
- Koalisyon oluşturmak ve kamu desteği almak;
- Sosyal medya ve küresel dijital bağlantı tarafından sunulan riskleri ve fırsatları yönetmek;
- Özellikle küresel şirketlerde operasyonel bilgi boşluklarını önlemek;
- Yakın, orta ve uzun vadeli tehditlere işaret edebilecek “sinyalleri” dikkate almak;
- Şirketin davranışlarıyla her gün rekorunu kırdığını kabul etmek;
- Bir öz-farkındalık düzeyine ulaşmak ve inkârdan kaçınmak;
- İç yapısal teşvikleri uyumlu hale getirmek;
- İletişim stratejisinin şirketin yasal stratejileriyle uyumlu ve destekleyici olmasını sağlamak;
- Gerekli kaynakları, eğitimi ve güçlendirmeyi taahhüt etmek,
- Liderlikten “katılım” elde etmek.
